WO2020240642A1 - 仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体 - Google Patents

仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体 Download PDF

Info

Publication number
WO2020240642A1
WO2020240642A1 PCT/JP2019/020820 JP2019020820W WO2020240642A1 WO 2020240642 A1 WO2020240642 A1 WO 2020240642A1 JP 2019020820 W JP2019020820 W JP 2019020820W WO 2020240642 A1 WO2020240642 A1 WO 2020240642A1
Authority
WO
WIPO (PCT)
Prior art keywords
virtual machine
virtual machines
virtual
attribute information
cluster
Prior art date
Application number
PCT/JP2019/020820
Other languages
English (en)
French (fr)
Inventor
太地 羽角
池田　聡
Original Assignee
日本電気株式会社
Priority date (The priority date is an assumption and is not a legal conclusion. Google has not performed a legal analysis and makes no representation as to the accuracy of the date listed.)
Filing date
Publication date
Application filed by 日本電気株式会社 filed Critical 日本電気株式会社
Priority to JP2021521575A priority Critical patent/JP7310885B2/ja
Priority to PCT/JP2019/020820 priority patent/WO2020240642A1/ja
Publication of WO2020240642A1 publication Critical patent/WO2020240642A1/ja

Links

Images

Classifications

    • G—PHYSICS
    • G06—COMPUTING; CALCULATING OR COUNTING
    • G06F—ELECTRIC DIGITAL DATA PROCESSING
    • G06F9/00—Arrangements for program control, e.g. control units
    • G06F9/06—Arrangements for program control, e.g. control units using stored programs, i.e. using an internal store of processing equipment to receive or retain programs
    • G06F9/44—Arrangements for executing specific programs
    • G06F9/455—Emulation; Interpretation; Software simulation, e.g. virtualisation or emulation of application or operating system execution engines

Definitions

  • the present disclosure relates to a virtual machine control device, a virtual machine control system, a virtual machine control method, and a non-temporary computer-readable medium in which a program is stored.
  • Non-Patent Document 1 Events that may pose a threat to information security are called incidents, and incident management to prepare for the occurrence of incidents is being studied (see Non-Patent Document 1).
  • incident management to prepare for the occurrence of incidents is being studied (see Non-Patent Document 1).
  • countermeasures after the occurrence of an incident are important (see, for example, Non-Patent Document 2 and Non-Patent Document 3).
  • a targeted attack which is a type of cyber attack that causes particularly large damage
  • an attacker moves between terminals inside the target network and spreads the damage, so it is possible to collect communication logs between terminals on the internal network. It is essential.
  • the inter-terminal communication log captures packets flowing in the network between terminals or is collected from software installed in the terminal.
  • Non-Patent Document 4 a virtual terminal-type services such as thin clients placed in the cloud. Therefore, it is becoming important to collect logs for the purpose of incident investigation in a cloud environment.
  • the attribute information refers to, for example, the specifications of the machine or any distinguishable property of a single or a plurality of users (users) who use the machine.
  • the attribute information includes, for example, an OS (Operating System) running on a machine, a type or name of an application, or a department or position to which a user who uses the machine belongs.
  • the above-mentioned normal monitoring method may not be able to collect the terminal-to-terminal communication log as a network log. This means that there will be omissions in the inter-terminal communication log that will be evidence in the incident investigation.
  • Patent Document 1 and Patent Document 2 are known as technologies related to management of virtual machines in a cloud environment.
  • Patent Document 1 it is possible to calculate the network cost when a new virtual machine is operated on a certain physical machine by using the communication permission information and the network distance between the physical machines in which a plurality of virtual machines are stored. It is disclosed. Based on this calculation result, the cost of the entire network system can be minimized.
  • Patent Document 2 discloses a method of arranging a virtual machine based on a level of a virtual machine requested by a user and an attribute of a physical machine.
  • the related technology only discloses the reduction of the network load of the entire cloud system or the optimum placement of virtual machines that satisfy the requirements of the virtual machines required by the user.
  • the related technology does not disclose how to easily collect communication logs between virtual machines with similar attribute information required for incident investigation in a cloud environment. Therefore, there is a problem that the security performance cannot be sufficiently improved by the related technology.
  • a virtual machine and another virtual machine that communicates with the virtual machine are arranged on the same virtual machine host.
  • the other virtual machines that communicate with a certain virtual machine are all arranged in the same virtual machine host as the certain virtual machine.
  • the attribute information of a plurality of virtual machines that are collectively arranged on the same virtual machine host are similar.
  • a group of terminals (virtual machines) that connect to a certain server may belong to the same job or department. Therefore, with the method disclosed in Patent Document 1, it is difficult to collect communication logs between virtual machines having similar attribute information required for incident investigation in a cloud environment, and as a result, the security performance is sufficiently improved. It cannot be improved.
  • each virtual machine is arranged on a virtual machine host that meets the required level of the virtual machine. Therefore, a plurality of virtual machines that require the same demand level are clustered on the same virtual machine host.
  • the attribute information of the virtual machine that requires the same requirement level is similar in the job, position, department, and the like of the user. Therefore, with the method disclosed in Patent Document 2, it is difficult to collect communication logs between virtual machines having similar attribute information required for incident investigation in a cloud environment, and as a result, the security performance is sufficiently improved. It cannot be improved.
  • an object of the present disclosure is to provide a virtual machine control device, a virtual machine control system, a virtual machine control method, and a non-temporary computer-readable medium in which a program is stored, which can improve security performance. Is.
  • the virtual machine device determines the similarity between the communication terminal information receiving means for receiving the attribute information of a plurality of virtual machines and the attribute information of the plurality of virtual machines received by the communication terminal information receiving means. It includes a similarity determination means and a terminal arrangement means for arranging a plurality of the virtual machines determined to have similar attribute information by the similarity determination means in a distributed manner on at least two or more virtual machine hosts. ..
  • the attribute information is similar to the step of receiving the attribute information of a plurality of virtual machines and the step of determining the similarity of the received attribute information of the plurality of virtual machines. It includes a step of distributing and arranging a plurality of the virtual machines determined to be present on at least two or more virtual machine hosts.
  • the non-transitory computer-readable medium includes a process of receiving attribute information of a plurality of virtual machines, a process of determining the similarity of the received attribute information of the plurality of virtual machines, and an attribute information.
  • a program for causing a computer to execute a process of distributing and arranging a plurality of the virtual machines determined to be similar to at least two or more virtual machine hosts is stored.
  • a virtual machine control device a virtual machine control system, a virtual machine control method, and a non-temporary computer-readable medium in which a program is stored, which can improve security performance. ..
  • FIG. It is a block diagram which shows the configuration example of the virtual machine control system which concerns on Embodiment 1.
  • FIG. It is a block diagram which shows the outline of the virtual machine control device provided in the virtual machine control system shown in FIG. It is a block diagram which shows the specific configuration example of the virtual machine control device provided in the virtual machine control system shown in FIG. It is a figure which shows the specific example of the attribute information of each virtual machine received by the communication terminal information receiving part provided in the virtual machine control device shown in FIG. It is a figure which shows the specific example of the attribute information of each virtual machine host stored in the host requirement storage part provided in the virtual machine control device shown in FIG. It is a figure which shows the specific example of the feature vector of each virtual machine calculated by the data conversion part provided in the virtual machine control apparatus shown in FIG.
  • FIG. 1 is a block diagram showing a configuration example of the virtual machine control system 1.
  • the virtual machine control system 1 shown in FIG. 1 is a system that arranges the virtual machine on the virtual machine host so that the communication log of the virtual machine can be easily collected from outside the virtual machine host.
  • the virtual machine control system 1 is composed of a virtual machine control device 100, a network 2, a plurality of virtual machine hosts 200, and a communication history recording device 300.
  • the virtual machine control device 100, the plurality of virtual machine hosts 200, and the communication history recording device 300 are connected via the network 2.
  • the network 2 may be a wired network or a wireless network. Further, the network 2 may be, for example, a network in a data center to which a plurality of virtual machine hosts 200 are connected, or may be a network logically configured by using VPN or the like. It may be any other network.
  • VPN is an abbreviation for Virtual Private Network.
  • the network 2 will be described as assuming that it is a normal IP (Internet Protocol) network.
  • the virtual machine control device 100 determines the virtual machine host 200 to be the placement destination of each virtual machine based on the acquired attribute information of each virtual machine and the attribute information of each virtual machine host 200 held in advance. To do. At this time, the virtual machine control device 100 determines the virtual machine host 200 to be the placement destination of each virtual machine so that the communication log between the virtual machines can be easily collected by the communication history recording device 300.
  • the virtual machine control device 100 may be a dedicated analyzer or a general-purpose device such as a personal computer.
  • Each virtual machine host 200 is a so-called physical machine, and is a host computer that stores a plurality of virtual machines.
  • the virtual machine stored in each virtual machine host 200 can communicate with other virtual machines stored in the same virtual machine host, and other virtual machines and other communication stored in another virtual machine host. It is possible to communicate with the device via the network 2.
  • the communication history recording device 300 is a device that receives communication information that can be collected in the network 2 by using communication such as wireless or wired, and records the collected communication information.
  • FIG. 2 is a block diagram showing an outline of the virtual machine control device 100.
  • the virtual machine control device 100 includes a communication terminal information receiving unit (communication terminal information receiving means) 101, a similarity determination unit (similarity determining means) 110, and a communication terminal arranging unit (terminal arranging means). ) 105.
  • a communication terminal information receiving unit communication terminal information receiving means
  • a similarity determination unit similarity determining means
  • a communication terminal arranging unit terminal arranging means
  • the communication terminal information receiving unit 101 receives the attribute information of the virtual machine scheduled to be arranged in any of the plurality of virtual machine hosts 200 by using communication such as wireless or wired.
  • the similarity determination unit 110 determines the similarity of the attribute information of one or more virtual machines received by the communication terminal information receiving unit 101.
  • the communication terminal arrangement unit 105 does not centrally arrange a plurality of virtual machines whose attribute information is determined to be similar by the similarity determination unit 110 on the same virtual machine host 200, but at least two or more. It is distributed and arranged in the virtual machine host 200 of. In other words, the communication terminal arrangement unit 105 arranges a plurality of virtual machines whose attribute information is determined to be similar by the similarity determination unit 110 on virtual machine hosts 200 that are different from each other as much as possible.
  • the virtual machine control device 100 records communication logs between virtual machines having similar attribute information required for incident investigation in a cloud environment, and a communication history recording device 300 installed outside the plurality of virtual machine hosts 200. Can be easily collected using. That is, the virtual machine control device 100 can sufficiently improve the security performance.
  • FIG. 3 is a block diagram showing a specific configuration example of the virtual machine control device 100.
  • the virtual machine control device 100 includes a communication terminal information receiving unit 101, a host requirement storage unit 102, a similarity determination unit 110, a communication terminal arrangement unit 105, and an arrangement information storage unit 106.
  • the similarity determination unit 110 is composed of a data conversion unit (data conversion means) 103 and a cluster calculation unit (cluster calculation means) 104.
  • the virtual machine control device 100 is not limited to the configuration shown in FIG. 3, and can be appropriately changed to another configuration capable of realizing the same functions as the configuration shown in FIG.
  • the communication terminal information receiving unit 101 receives the attribute information of the virtual machine scheduled to be arranged in any of the plurality of virtual machine hosts 200 by using communication such as wireless or wired.
  • FIG. 4 is a diagram showing a specific example of the attribute information of each virtual machine received by the communication terminal information receiving unit 101.
  • the terminal IP IP address
  • the attribute information of each virtual machine received by the communication terminal information receiving unit 101 is not limited to the above contents, for example, computational resources (CPU, GPU, etc.) required for each virtual machine, or each virtual. It may include the memory capacity required for the machine.
  • the host requirement storage unit 102 holds the attribute information of each of the plurality of virtual machine hosts 200 that are the placement destinations (storage destinations) of each virtual machine.
  • FIG. 5 is a diagram showing a specific example of the attribute information of each virtual machine host 200 held by the host requirement storage unit 102.
  • Table 41 shows a combination of the IP of each virtual machine host 200 and the corresponding virtual machine host identifier.
  • Table 42 also shows combinations of each virtual machine host identifier and its corresponding "security requirements”.
  • Table 43 shows a list of "departments”
  • Table 44 shows a list of "Terminal Uses”
  • Table 45 shows a list of "Security Requirements”.
  • the data conversion unit 103 refers to the attribute information of each virtual machine and the attribute information of each virtual machine host 200, and displays the attribute information of each virtual machine received by the communication terminal information receiving unit 101 as a data structure representing a distance. Convert to the feature vector of.
  • FIG. 6 is a diagram showing a specific example of the feature vector of each virtual machine calculated by the data conversion unit 103.
  • a table in which a terminal identifier, which is an identifier of each virtual machine, and a feature vector of a virtual machine having the terminal identifier are combined is shown.
  • the feature vector of each virtual machine is composed of a combination of all kinds of elements (for example, "sales department” and "development department") of each attribute (for example, "department"), and all kinds of elements of each attribute.
  • the corresponding element is represented by 1 and the non-corresponding element is represented by 0.
  • the number of elements (types) of each attribute depends on the tables 43 and 44 held by the host requirement storage unit 102.
  • the terminal IP of the virtual machine having the terminal identifier is shown.
  • the cluster calculation unit 104 classifies each of the plurality of feature vectors output from the data conversion unit 103 into an arbitrary number of clusters based on their similarity.
  • the classified clusters and the virtual machine identifiers included in them are supplied to the communication terminal arrangement unit 105.
  • the communication terminal arrangement unit 105 does not centrally arrange a plurality of virtual machines included in the cluster for each cluster output from the cluster calculation unit 104 on the same virtual machine host 200, but at least two or more. It is distributed and arranged in the virtual machine host 200 of. At this time, placement requirements and network requirements are also taken into consideration. Details of the placement requirements and network requirements will be described later.
  • the placement information storage unit 106 holds the placement information of each virtual machine placed on any of the virtual machine hosts 200 by the communication terminal placement unit 105.
  • FIG. 7 is a diagram showing the relationship between each virtual machine and the virtual machine host on which each virtual machine is arranged.
  • a table in which the terminal identifier assigned to each virtual machine, the terminal IP of the virtual machine, and the virtual machine host identifier of the placement destination are combined is shown.
  • FIG. 8 is a flowchart showing the operation of the virtual machine control device 100.
  • the communication terminal information receiving unit 101 receives the communication terminal information including the attribute information of one or a plurality of virtual machines (S001).
  • the data conversion unit 103 After that, the data conversion unit 103 generates a feature vector corresponding to the communication terminal information based on each communication terminal information received by the communication terminal information receiving unit 101 (S002).
  • an attribute vector of an arbitrary attribute described in the communication terminal information is created (S003).
  • a vector consisting of all types of elements (for example, "sales department” and "development department") of each attribute (for example, "affiliation department”) held in the host requirement storage unit 102 is prepared.
  • the element corresponding to the attribute of the virtual machine included in the communication terminal information is rewritten from 0 to 1.
  • the attribute vector of each attribute is formed (S003).
  • one feature vector corresponding to the virtual machine is formed.
  • the order of the plurality of attribute vectors to be combined may be, for example, the order of the attributes described in the communication terminal information, the order obtained by sorting the attribute names in ascending order, or the attribute name as an arbitrary index. It may be in the order obtained by sorting using.
  • one feature vector is formed by combining a plurality of attribute vectors in the order of the attributes described in the communication terminal information (S004).
  • the feature vector is calculated for each of the terminal IPs of the communication terminal information received by the communication terminal information receiving unit 101, and an arbitrary terminal identifier that does not overlap in the network is assigned. As a result, a feature vector group as shown in FIG. 6 is obtained.
  • the type (element) of the attribute "department” indicates “sales department” and the type of attribute "use” is "client”. Is shown. Therefore, the attribute vector of the "affiliation department” is "100”, and the attribute vector of the "sales department” is "1000". Then, by combining these attribute vectors in the order of "belonging department" and "use", the feature vector is expressed as "1001000".
  • the cluster calculation unit 104 clusters the feature vectors of each virtual machine output from the data conversion unit 103 (S005).
  • the feature vector group is classified into an arbitrary number of clusters by using an arbitrary algorithm such as an aggregate clustering algorithm.
  • an arbitrary algorithm such as an aggregate clustering algorithm.
  • the Ward method (see Non-Patent Document 5) is adopted as the clustering method
  • the distance is represented by the Euclidean distance
  • the threshold value is set to 3.0 in order to reduce the number of separated clusters to 2.
  • FIG. 9 shows the results of classifying the feature vectors shown in FIG. 6 into two clusters using the above clustering method (Ward's method).
  • FIG. 9 is a dendrogram that visualizes the progress of clustering by Ward's method.
  • the dotted line in FIG. 9 represents a threshold value (3.0 in this embodiment).
  • the communication terminal arrangement unit 105 distributes one or a plurality of virtual machines included in the cluster to the virtual machine host for each cluster calculated by the cluster calculation unit 104 while considering the arrangement requirement and the network requirement. (S006).
  • a plurality of virtual machine hosts that satisfy the allocation requirements. Performs the process of selecting one from the above.
  • the placement requirement is any one or more attribute information selected from the attribute information included in the communication terminal information.
  • the network requirement is attribute information that requires virtual machines that are expected to perform high-frequency communication in advance to be placed on the same virtual machine host. Therefore, the virtual machine having the attribute information with the "network requirement" of "yes” is arranged on the same virtual machine host 200 as the virtual machine having the terminal IP specified in the attribute information of the "communication destination". In the example of FIG. 4, the virtual machine whose terminal IP indicates "192.168.0.21” has the "network requirement" of "yes”, and therefore the terminal IP "192.168" specified in the "communication destination". It is placed on the same virtual machine host 200 as the virtual machine showing "0.22".
  • a virtual machine host that satisfies the virtual machine placement requirements is, for example, one that has the same or higher attribute information for all the placement requirements of the virtual machine when the "network requirement" of the virtual machine is other than “yes". Or multiple virtual machine hosts.
  • a virtual machine host that satisfies the virtual machine placement requirements is, for example, a virtual machine whose "network requirements" are other than "yes” and whose attributes are a subset of the attributes of the virtual machine host.
  • the virtual machine host when the deployment requirement includes the attribute information of "security requirement”, the virtual machine host whose attribute information of "security requirement” indicates “high” has “network requirement” of "none” and "security requirement”. Meets the virtual machine placement requirements that indicate "standard”.
  • the communication terminal arrangement unit 105 specifies an arrangement candidate group for all virtual machines classified in the cluster for each cluster. Then, the communication terminal arrangement unit 105 evenly distributes all the virtual machines classified in the cluster to each of the virtual machine hosts of the arrangement candidate group. Alternatively, the communication terminal placement unit 105 virtual machines in the placement candidate group so that all the virtual machines classified in the cluster are placed in each of the virtual machine hosts in the placement candidate group to the minimum number of virtual machines. Allocate to each machine host.
  • the virtual machines to be arranged for each of the virtual machines classified into the cluster for each cluster Select a host.
  • m represents a virtual machine
  • C represents the cluster to which the virtual machine m belongs
  • H represents the virtual machine host.
  • the virtual machine whose "network requirement" indicates "yes” is placed on the virtual machine host where the most virtual machines having the terminal IP described in the communication destination attribute are placed. If there are a plurality of virtual machine hosts in which the terminal IPs described in the communication destination attribute are most arranged, they are arranged in the virtual machine host randomly selected among them.
  • the terminal identifier in each virtual machine, the corresponding terminal IP, and the virtual machine host identifier in which the virtual machine is arranged calculated by the communication terminal arrangement unit 105 are collectively collected.
  • FIG. 7 shows an example of the information stored in the arrangement information storage unit 106 when the virtual machine hosts (identifiers H1 and H2) shown in FIG. 5 are provided.
  • virtual machines having terminal identifiers “M0001”, “M0003”, and “M0031” are arranged on the virtual machine host having the identifier H1.
  • virtual machines having terminal identifiers "M0002”, “M0004", “M0021”, and “M0022” are arranged on the virtual machine host with the identifier H2.
  • the virtual machine control device 100 has at least two or more virtual machines having a plurality of virtual machines having similar attribute information while considering the arrangement requirements and network requirements of the virtual machines. Distribute to hosts. In other words, the virtual machine control device 100 arranges a plurality of virtual machines having similar attribute information on different virtual machine hosts as much as possible while considering the arrangement requirements and network requirements of the virtual machines. As a result, the virtual machine control device 100 can easily record communication logs between virtual machines having similar attribute information required for incident investigation by means of communication history recording devices installed outside a plurality of virtual machine hosts in a cloud environment. Can be collected. That is, the virtual machine control device 100 can sufficiently improve the security performance.
  • each virtual machine is placed on the virtual machine host with the most free storage capacity in the cloud environment from the viewpoint of efficient computing resources.
  • related technologies do not consider collecting communication logs for incident investigation in the event of a cyber attack in a cloud environment.
  • the virtual machine control device 100 calculates the similarity of the attribute information of each virtual machine, and makes a plurality of virtual machines having similar attribute information into at least two or more virtual machine hosts. It is distributed and arranged.
  • the virtual machine control device 100 uses communication history recording devices installed outside the plurality of virtual machine hosts to record communication logs between virtual machines having similar attribute information required for incident investigation in a cloud environment. It can be easily collected. That is, the virtual machine control device 100 can sufficiently improve the security performance.
  • Each configuration in the above embodiment is composed of hardware and / or software, and may be composed of one hardware or software, or may be composed of a plurality of hardware or software.
  • Each function (each process) in the embodiment may be realized by a computer having a CPU (Central Processing Unit), a memory, or the like.
  • a program for performing the method (processing) in the embodiment may be stored in a storage device (storage medium), and each function may be realized by executing the program stored in the storage device on the CPU.
  • Non-transitory computer-readable media include various types of tangible storage media (tangible storage media).
  • Non-temporary computer-readable media include, for example, magnetic recording media, opto-magnetic recording media, CD-ROMs (Read Only Memory), CD-Rs, CD-R / Ws, and semiconductor memories.
  • the magnetic recording medium is, for example, a flexible disk, a magnetic tape, a hard disk drive, or the like.
  • the magneto-optical recording medium is, for example, a magneto-optical disk.
  • the semiconductor memory includes, for example, a mask ROM, a PROM (Programmable ROM), an EPROM (Erasable PROM), a flash ROM, and a RAM (Random Access Memory).
  • the program may also be supplied to the computer by various types of temporary computer-readable media (transitory computer readable media). Examples of temporary computer-readable media include electrical, optical, and electromagnetic waves.
  • the temporary computer-readable medium can supply the program to the computer via a wired communication path such as an electric wire and an optical fiber, or a wireless communication path.
  • Virtual machine control system 2 Network 41 to 45 Table 100 Virtual machine control device 101 Communication terminal information receiving unit 102 Host requirement storage unit 103 Data conversion unit 104 Cluster calculation unit 105 Communication terminal arrangement unit 106 Arrangement information storage unit 110 Similarity judgment unit 200 Virtual machine host 300 Communication history recorder

Landscapes

  • Engineering & Computer Science (AREA)
  • Software Systems (AREA)
  • Theoretical Computer Science (AREA)
  • Physics & Mathematics (AREA)
  • General Engineering & Computer Science (AREA)
  • General Physics & Mathematics (AREA)
  • Computer And Data Communications (AREA)

Abstract

一実施の形態によれば、仮想マシン制御装置（１００）は、複数の仮想マシンの属性情報を受信する通信端末情報受信手段（１０１）と、通信端末情報受信手段（１０１）によって受信された複数の仮想マシンの属性情報の類似度を判定する類似度判定手段（１１０）と、類似度判定手段（１１０）により属性情報が類似していると判定された複数の仮想マシンを少なくとも２つ以上の仮想マシンホスト（２００）に分散して配置する端末配置手段（１０５）と、を備える。

Description

仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体
　本開示は、仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体に関する。
　近年のサイバー攻撃の増加に伴い、組織における情報セキュリティ対策が増々重要になってきている。情報セキュリティ上、脅威となる可能性がある事象をインシデントと言い、インシデントの発生に備えるインシデントマネジメントについての検討が進められている（非特許文献１参照）。特にインシデントの発生後の対策（インシデント対応）が重要である（例えば、非特許文献２及び非特許文献３参照）。
　インシデント発生後のオペレーションとしては、ネットワークシステムを構成する情報機器等に記録された情報ログや通信ネットワークのログを根拠とした、事実解明調査（インシデント調査）を行うことが必須である。そのため、基幹システムを始めとした各種システムにおける、情報ログの収集指針、情報ログを収集する仕組みなど、情報ログの管理などについての重要性が再認識されている。
　特に被害の大きいサイバー攻撃の一種である標的型攻撃は、標的のネットワーク内部において攻撃者が端末間を移動し、被害を拡大させてゆくことから、内部ネットワークの端末間通信ログを収集することが肝要である。一般的に、端末間通信ログは端末間のネットワークに流れるパケットをキャプチャするか、端末内にインストールされたソフトウェアより収集される。
　さらにクラウド関連技術の発展や、機動性・耐障害性・価格面などのメリットから、クラウドに配置したシンクライアント等の仮想端末型サービスなどを導入する組織が増加している（例えば非特許文献４参照）。そのため、クラウド環境下における、インシデント調査を目的としたログの収集も重要となってきている。
　しかしながら、クラウド環境下に存在する端末の利用者が、サイバー攻撃に起因するインシデント調査を目的として、クラウド内端末間通信ログを収集しようとする場合、上記に示した端末間通信ログ収集方法では困難が生じる。
　即ち、同一の仮想マシンホストに配置された複数の仮想マシン間の内部通信の収集に関し、同仮想マシンホスト内から継続的に収集したり、仮想マシン内部において継続的に収集したりすることは、メモリ入出力（ＩＯ）やディスクＩＯに負荷をかける。これは、仮想マシンホストに格納された全ての仮想マシンのパフォーマンスの劣化を引き起こしてしまう。なお、仮想マシンホストとは、所謂、物理マシンのことである。
　一方、クラウド内端末間通信ログを収集するため、仮想マシンホスト外部に通信ログを収集する装置を設置する方法（通常監視方法）も考えられる。この方法では、仮想マシンホスト内の仮想マシンと、当該仮想マシンホスト外部（外部のネットワーク、他の仮想マシンホスト、又は、その他の通信装置）と、の間の通信ログの収集は可能である。しかしながら、この方法では、同一仮想マシンホストに配置された複数の仮想マシン間の通信ログを収集することができないという問題がある。
　特に標的型攻撃では、例えば同じ部署に属する複数のマシンが攻撃を受けることが考えられる。つまり、標的型攻撃では、例えば最初に攻撃を受けたマシンの属性情報に類似する属性情報を持つ他のマシンが続けて攻撃を受けることが考えられる。なお、属性情報とは、例えば、マシンのスペック、又は、マシンを使用する単一又は複数の使用者（ユーザ）の、区別可能な任意の性質を指す。属性情報は、例えば、マシン上で稼働するＯＳ（Ｏｐｅｒａｔｉｏｎ　Ｓｙｓｔｅｍ）、アプリケーションの種類又は名称、又は、そのマシンを使用するユーザの所属する部署や職位などを含む。
　そのため、仮に、同一仮想マシンホストに格納された複数の仮想マシン間においてインシデントに関連する通信が発生した場合、上記した通常監視方法では、端末間通信ログをネットワークログとして収集できない可能性がある。これは、インシデント調査において証拠となる端末間通信ログに抜けが生じることを意味する。
　ここで、仮想マシンホスト外部からインシデント調査に必要な端末間通信ログを収集できるかどうかは、各仮想マシンをどの仮想マシンホストに配置するかという、仮想マシンの管理方法に依存している。
　クラウド環境下における、仮想マシンの管理に関連する技術として、例えば、特許文献１及び特許文献２が知られている。特許文献１には、複数の仮想マシンが格納された物理マシン間の通信の許可情報及びネットワーク距離を用いて、ある物理マシンで新たに仮想マシンを稼働させた場合のネットワークコストを計算することが開示されている。この計算結果により、ネットワークシステム全体のコストを最小化させることができる。また、特許文献２には、利用者の要求する仮想マシンの水準と、物理マシンの属性と、に基づいて仮想マシンを配置する方法が開示されている。
特許５３７７７７５号公報 特開２０１３－３９４６号公報
一般社団法人ＪＰＣＥＲＴコーディネーションセンター、"ＣＳＩＲＴガイド"、インターネット<URL:https://www.jpcert.or.jp/csirt_material/files/guide_ver1.0_20151126.pdf> Ponemon Institute、"Ponemon Institute's 2017 Cost of Data Breach Study: Global Overview"、インターネット<URL:https://www-01.ibm.com/marketing/iwm/dre/signup?source=urx-15763> 独立行政法人情報処理推進機構、"サイバーレスキュー隊（Ｊ－ＣＲＡＴ）分析レポート２０１５、特定業界を執拗に狙う攻撃キャンペーンの分析"、インターネット<URL:https://www.ipa.go.jp/files/000053445.pdf> ＩＤＣ　Ｊａｐａｎ、"国内クライアント仮想化関連市場予測を発表"、インターネット<URL:https://www.idcjapan.co.jp/Press/Current/201806251Apr.html> Ward, J. H., Jr.、"ハイラキカルグルーピングトゥオプティマイズアンオブジェクティブファンクション（Hierarchical Grouping to Optimize an Objective Function）"、Journal of the American Statistical Association, 58, p.236-244.
　しかしながら、関連技術には、クラウドシステム全体のネットワーク負荷削減、又は、利用者の要求する仮想マシンの要件を満足する仮想マシンの最適配置について開示されているに過ぎない。つまり、関連技術には、クラウド環境下において、インシデント調査に必要な属性情報の類似する仮想マシン間の通信ログをいかにして容易に収集するのかについては開示されていない。そのため、関連技術では、セキュリティ性能を十分に向上させることができないという課題があった。
　例えば、特許文献１に開示された方式では、システム全体のネットワーク負荷を軽減するため、ある仮想マシンと、当該ある仮想マシンと通信を行う別の仮想マシンとは、同じ仮想マシンホスト上に配置される。そのため、ある仮想マシンと通信が行われる他の複数の仮想マシンは、何れも当該ある仮想マシンと同じ仮想マシンホストに固まって配置されることになる。ここで、同一仮想マシンホストに固まって配置された複数の仮想マシンの属性情報は、類似している可能性が高い。例えば、あるサーバに接続を行う端末（仮想マシン）群は、同じ職務や部署に属していることなどが考えられる。そのため、特許文献１に開示された方式では、クラウド環境下において、インシデント調査に必要な属性情報の類似する仮想マシン間の通信ログを収集することが困難であり、その結果、セキュリティ性能を十分に向上させることができない。
　また、特許文献２に開示された方式では、各仮想マシンが、その仮想マシンの要求水準を満たす仮想マシンホストに配置される。そのため、同様の要求水準を要求する複数の仮想マシンは、同じ仮想マシンホストに固まって配置されることになる。ここで、同様の要求水準を要求する仮想マシンの属性情報は、使用者の職務、職位、部署等において類似している可能性が高い。そのため、特許文献２に開示された方式では、クラウド環境下において、インシデント調査に必要な属性情報の類似する仮想マシン間の通信ログを収集することが困難であり、その結果、セキュリティ性能を十分に向上させることができない。
　本開示の目的は、このような課題を解決するためになされたものである。即ち、本開示の目的は、セキュリティ性能を向上させることが可能な仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体を提供することである。
　本開示にかかる仮想マシン装置は、複数の仮想マシンの属性情報を受信する通信端末情報受信手段と、前記通信端末情報受信手段によって受信された前記複数の仮想マシンの属性情報の類似度を判定する類似度判定手段と、前記類似度判定手段により属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置する端末配置手段と、を備える。
　また、本開示にかかる仮想マシン制御方法は、複数の仮想マシンの属性情報を受信するステップと、受信した前記複数の仮想マシンの属性情報の類似度を判定するステップと、属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置するステップと、を備える。
　さらに、本開示にかかる非一時的なコンピュータ可読媒体は、複数の仮想マシンの属性情報を受信する処理と、受信した前記複数の仮想マシンの属性情報の類似度を判定する処理と、属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置する処理と、をコンピュータに実行させるプログラムが格納される。
　本開示によれば、セキュリティ性能を向上させることが可能な仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体を提供することができる。
実施の形態１にかかる仮想マシン制御システムの構成例を示すブロック図である。 図１に示す仮想マシン制御システムに設けられた仮想マシン制御装置の概要を示すブロック図である。 図１に示す仮想マシン制御システムに設けられた仮想マシン制御装置の具体的な構成例を示すブロック図である。 図３に示す仮想マシン制御装置に設けられた通信端末情報受信部によって受信された各仮想マシンの属性情報の具体例を示す図である。 図３に示す仮想マシン制御装置に設けられたホスト要件記憶部に記憶されている各仮想マシンホストの属性情報の具体例を示す図である。 図３に示す仮想マシン制御装置に設けられたデータ変換部において算出された各仮想マシンの特徴ベクトルの具体例を示す図である。 各仮想マシンと、各仮想マシンが配置される仮想マシンホストと、の関係を示す図である。 図３に示す仮想マシン制御装置の動作を示すフローチャートである。 図３に示す仮想マシン制御装置に設けられたクラスタ計算部によるクラスタリングの経過を可視化したデンドログラムである。 図３に示す仮想マシン制御装置による各仮想マシンの配置先の決定方法の詳細を示すフローチャートである。
　以下、図面を参照して、本開示の実施の形態について説明する。各図面において、同一又は対応する要素には同一の符号が付されており、説明の明確化のため、必要に応じて重複する説明を省略する。
＜実施の形態１＞
　最初に、図１を用いて、本実施の形態における仮想マシン制御システムの構成について説明する。図１は、仮想マシン制御システム１の構成例を示すブロック図である。
　図１に示す仮想マシン制御システム１は、仮想マシンの通信ログを仮想マシンホスト外部から容易に収集できるように、当該仮想マシンの仮想マシンホストへの配置を行うシステムである。
　具体的には、仮想マシン制御システム１は、仮想マシン制御装置１００と、ネットワーク２と、複数の仮想マシンホスト２００と、通信履歴記録装置３００と、によって構成されている。仮想マシン制御装置１００と、複数の仮想マシンホスト２００と、通信履歴記録装置３００とは、ネットワーク２を介して接続されている。
　なお、ネットワーク２は、有線ネットワークでもよいし、無線ネットワークでもよい。また、ネットワーク２は、例えば、複数の仮想マシンホスト２００が接続されたデータセンタ内のネットワークであってもよいし、ＶＰＮ等を利用して論理的に構成されたネットワークであってもよいし、その他の任意のネットワークであってもよい。なお、ＶＰＮは、Ｖｉｒｔｕａｌ　Ｐｒｉｖａｔｅ　Ｎｅｔｗｏｒｋの略である。以下、ネットワーク２は通常のＩＰ（Ｉｎｔｅｒｎｅｔ　Ｐｒｏｔｏｃｏｌ）ネットワークであるものとして説明する。
　仮想マシン制御装置１００は、取得した各仮想マシンの属性情報と、予め保持している各仮想マシンホスト２００の属性情報と、に基づいて、各仮想マシンの配置先となる仮想マシンホスト２００を決定する。このとき、仮想マシン制御装置１００は、各仮想マシン間の通信ログが通信履歴記録装置３００によって収集されやすくなるように、各仮想マシンの配置先となる仮想マシンホスト２００を決定する。なお、仮想マシン制御装置１００は、専用の分析装置でもよいし、パーソナルコンピュータ等の汎用的な装置によって実現されてもよい。
　各仮想マシンホスト２００は、所謂物理マシンであって、複数の仮想マシンを格納したホストコンピュータである。各仮想マシンホスト２００に格納された仮想マシンは、同じ仮想マシンホストに格納された他の仮想マシンと通信することができるとともに、別の仮想マシンホストに格納された他の仮想マシン及びその他の通信機器とネットワーク２を介して通信することができる。
　通信履歴記録装置３００は、ネットワーク２において収集可能な通信情報を、無線または有線などの通信を用いて受信し、収集した通信情報を記録する装置である。
≪仮想マシン制御装置１００の概要≫
　続いて、図２を用いて、本実施の形態にかかる仮想マシン制御装置１００の概要について説明する。図２は、仮想マシン制御装置１００の概要を示すブロック図である。
　図２に示すように、仮想マシン制御装置１００は、通信端末情報受信部（通信端末情報受信手段）１０１、類似度判定部（類似度判定手段）１１０、及び、通信端末配置部（端末配置手段）１０５を備える。
　通信端末情報受信部１０１は、複数の仮想マシンホスト２００の何れかに配置予定の仮想マシンの属性情報を、無線又は有線などの通信を用いて受信する。
　類似度判定部１１０は、通信端末情報受信部１０１によって受信された一又は複数の仮想マシンの属性情報の類似度を判定する。
　通信端末配置部１０５は、類似度判定部１１０によって属性情報が類似していると判定された複数の仮想マシンを、同一の仮想マシンホスト２００に集中して配置するのではなく、少なくとも２つ以上の仮想マシンホスト２００に分散して配置する。換言すると、通信端末配置部１０５は、類似度判定部１１０によって属性情報が類似していると判定された複数の仮想マシンを、できるだけ互いに異なる仮想マシンホスト２００に配置する。
　それにより、仮想マシン制御装置１００は、クラウド環境下において、インシデント調査に必要な属性情報の類似する仮想マシン間の通信ログを、複数の仮想マシンホスト２００の外部に設置された通信履歴記録装置３００を用いて容易に収集することができる。つまり、仮想マシン制御装置１００は、セキュリティ性能を十分に向上させることができる。
≪仮想マシン制御装置１００の具体的な構成例≫
　続いて、図３を用いて、本実施の形態にかかる仮想マシン制御装置１００の詳細について説明する。図３は、仮想マシン制御装置１００の具体的な構成例を示すブロック図である。
　図３に示すように、仮想マシン制御装置１００は、通信端末情報受信部１０１、ホスト要件記憶部１０２、類似度判定部１１０、通信端末配置部１０５、及び、配置情報記憶部１０６を備える。類似度判定部１１０は、データ変換部（データ変換手段）１０３、及び、クラスタ計算部（クラスタ計算手段）１０４によって構成されている。なお、仮想マシン制御装置１００は、図３に示す構成に限られず、図３に示す構成と同等の機能を実現可能な他の構成に適宜変更可能である。
　通信端末情報受信部１０１は、複数の仮想マシンホスト２００の何れかに配置予定の仮想マシンの属性情報を、無線又は有線などの通信を用いて受信する。
　図４は、通信端末情報受信部１０１によって受信された各仮想マシンの属性情報の具体例を示す図である。図４の例では、各仮想マシンの端末ＩＰ（ＩＰアドレス）と、当該端末ＩＰを持つ仮想マシンの属性情報である“所属部署”、“用途”、“セキュリティ要件”、“ネットワーク要件”、及び、“通信先”と、を組み合わせたテーブルが示されている。なお、通信端末情報受信部１０１によって受信される各仮想マシンの属性情報には、上記内容に限られず、例えば、各仮想マシンに必要とされる計算資源（ＣＰＵ、ＧＰＵなど）、或いは、各仮想マシンに必要とされるメモリ容量など、が含まれても良い。
　ホスト要件記憶部１０２は、各仮想マシンの配置先（格納先）となる複数の仮想マシンホスト２００のそれぞれの属性情報を保持する。
　図５は、ホスト要件記憶部１０２によって保持される各仮想マシンホスト２００の属性情報の具体例を示す図である。図５に示すように、例えば、テーブル４１には、各仮想マシンホスト２００のＩＰと、それに対応する仮想マシンホスト識別子と、の組み合わせが示されている。また、テーブル４２には、各仮想マシンホスト識別子と、それに対応する“セキュリティ要件”と、の組み合わせが示されている。さらに、テーブル４３には“所属部署”の一覧が示され、テーブル４４には“端末用途”の一覧が示され、テーブル４５には“セキュリティ要件”の一覧が示されている。
　データ変換部１０３は、各仮想マシンの属性情報と各仮想マシンホスト２００の属性情報とを参照して、通信端末情報受信部１０１によって受信された各仮想マシンの属性情報を、距離を表すデータ構造の特徴ベクトルに変換する。
　図６は、データ変換部１０３において算出された各仮想マシンの特徴ベクトルの具体例を示す図である。図６の例では、各仮想マシンの識別子である端末識別子と、当該端末識別子を持つ仮想マシンの特徴ベクトルと、を組み合わせたテーブルが示されている。ここで、各仮想マシンの特徴ベクトルは、各属性（例えば“所属部署”）の全種類の要素（例えば“営業部”、“開発部”）の組み合わせによって構成され、各属性の全種類の要素のうち該当する要素が１、該当しない要素が０で表されている。なお、図６の例では、各属性の要素（種類）の個数は、ホスト要件記憶部１０２によって保持されているテーブル４３，４４に依存している。また、図６の例では、各仮想マシンの端末識別子及びそれに対応する特徴ベクトルに加えて、その端末識別子を持つ仮想マシンの端末ＩＰが示されている。
　クラスタ計算部１０４は、データ変換部１０３から出力された複数の特徴ベクトルのそれぞれを、それらの類似度に基づいて任意の個数のクラスタに分類する。分類されたクラスタとそれらに含まれる仮想マシン識別子は、通信端末配置部１０５に供給される。
　通信端末配置部１０５は、クラスタ計算部１０４から出力されたクラスタ毎に、そのクラスタに含まれる複数の仮想マシンを、同一の仮想マシンホスト２００に集中して配置するのではなく、少なくとも２つ以上の仮想マシンホスト２００に分散して配置する。なお、このとき、配置要件及びネットワーク要件も考慮される。配置要件及びネットワーク要件の詳細については後述する。
　配置情報記憶部１０６は、通信端末配置部１０５によって何れかの仮想マシンホスト２００に配置された各仮想マシンの配置情報を保持する。
　図７は、各仮想マシンと、各仮想マシンが配置される仮想マシンホストと、の関係を示す図である。図７の例では、各仮想マシンに割り当てられた端末識別子と、その仮想マシンの端末ＩＰと、配置先の仮想マシンホスト識別子と、を組み合わせたテーブルが示されている。
≪本実施の形態にかかる仮想マシン制御動作≫
　続いて、図８を用いて、本実施の形態にかかる仮想マシン制御動作を説明する。
　図８は、仮想マシン制御装置１００の動作を示すフローチャートである。
　図８に示すように、仮想マシン制御装置１００による計算処理では、まず、通信端末情報受信部１０１において、一つ又は複数の仮想マシンの属性情報を含んだ通信端末情報を受信する（Ｓ００１）。
　その後、データ変換部１０３において、通信端末情報受信部１０１によって受信された各通信端末情報に基づいて、当該通信端末情報に対応する特徴ベクトルの生成を行う（Ｓ００２）。
　特徴ベクトルの生成処理では、まず、通信端末情報受信部１０１によって受信された通信端末情報に基づいて、その通信端末情報に記されている任意の属性の属性ベクトルを作成する（Ｓ００３）。
　具体的には、まず、ホスト要件記憶部１０２に保持された各属性（例えば“所属部署”）の全種類分の要素（例えば“営業部”、“開発部”）からなるベクトルを用意して、このベクトルを構成する要素の全てを０に初期化する。その後、初期化されたベクトルを構成する複数の要素のうち、通信端末情報に含まれる仮想マシンの属性に該当する要素を０から１に書き換える。それにより、各属性の属性ベクトルが形成される（Ｓ００３）。
　その後、一又は複数の属性ベクトルを結合することにより、仮想マシンに対応する一つの特徴ベクトルを形成する。なお、結合される複数の属性ベクトルの順番は、例えば通信端末情報に記載された属性の順番でもよいし、属性名を昇順ソートすることにより得られる順番でもよいし、属性名を任意の指標を用いてソートすることにより得られる順番でもよい。本実施の形態では、通信端末情報に記載された属性の順に複数の属性ベクトルを結合することにより、１つの特徴ベクトルを形成している（Ｓ００４）。
　以下、一例として、通信端末情報受信部１０１によって図４に示す通信端末情報が受信され、かつ、属性情報には、２つの属性“所属部署”及び“用途”が含まれている場合の動作について説明する。この場合において、通信端末情報受信部１０１によって受信された通信端末情報の端末ＩＰの各々に対して、特徴ベクトルを算出するとともに、ネットワーク内で重複しない任意の端末識別子を付与する。それにより、図６に示すような特徴ベクトル群が得られる。
　例えば、端末ＩＰが“１９２．１６８．０．１１”を示す仮想マシンは、属性“所属部署”の種類（要素）が“営業部”を示し、かつ、属性“用途”の種類が“クライアント”を示している。そのため、“所属部署”の属性ベクトルは“１００”となり、“営業部”の属性ベクトルは“１０００”となる。そして、“所属部署”及び“用途”の順番でこれらの属性ベクトルを結合することにより、特徴ベクトルは“１００１０００”と表される。
　その後、クラスタ計算部１０４において、データ変換部１０３から出力された各仮想マシンの特徴ベクトルをクラスタリングする（Ｓ００５）。
　具体的には、凝集型クラスタリングアルゴリズムなどの任意のアルゴリズムを用いることにより、特徴ベクトル群を任意の個数のクラスタに分類する。本実施の形態では、クラスタリング方法としてウォード法（非特許文献５参照）が採用され、距離がユークリッド距離で表され、分離クラスタ数を２個にするため閾値が３．０に設定された場合を例に説明する。上記のクラスタリング方法（ウォード法）を用いて図６に示す特徴ベクトルを２個のクラスタに分類した結果を、図９に示す。
　図９は、ウォード法によるクラスタリングの経過を可視化したデンドログラムである。図９の点線は、閾値（本実施の形態では３．０）を表している。本実施の形態のクラスタリング設定を用いることにより、図６に示す特徴ベクトルは２つのクラスタであるクラスタ１及びクラスタ２に分類されている。具体的には、端末識別子“Ｍ０００１”、“Ｍ０００２”、“Ｍ０００３”、“Ｍ０００４”は、クラスタ１に分類され、端末識別子“Ｍ００２１”、“Ｍ００２２”、“Ｍ００３１”は、クラスタ２に分類されている。
　その後、通信端末配置部１０５において、配置要件及びネットワーク要件を考慮しつつ、クラスタ計算部１０４により算出されたクラスタ毎に、そのクラスタに含まれる一つ又は複数の仮想マシンの仮想マシンホストへの振り分けを行う（Ｓ００６）。
　具体的には、クラスタ計算部１０４により算出されたクラスタ毎に、そのクラスタに分類された端末識別子を持つ全ての仮想マシンのそれぞれについて、配置要件を満たす複数の仮想マシンホスト（配置候補群）の中から何れかを選択する処理を行う。
　なお、配置要件とは、通信端末情報に含まれる属性情報の中から選択された任意の一つ又は複数の属性情報である。また、ネットワーク要件とは、予め高頻度の通信を行うことが見込まれた仮想マシンらについて、同じ仮想マシンホストに配置することを要求する属性情報である。そのため、“ネットワーク要件”が“あり”の属性情報を持つ仮想マシンは、“通信先”の属性情報において指定された端末ＩＰを持つ仮想マシンと同じ仮想マシンホスト２００に配置される。図４の例では、端末ＩＰが“１９２．１６８．０．２１”を示す仮想マシンは、“ネットワーク要件”が“あり”であるため、“通信先”において指定された端末ＩＰ“１９２．１６８．０．２２”を示す仮想マシンと同じ仮想マシンホスト２００に配置される。
　仮想マシンの配置要件を満たす仮想マシンホストとは、例えば、仮想マシンの“ネットワーク要件”が“あり”以外の場合において、当該仮想マシンの全ての配置要件について同位又は上位の属性情報を有する一つ又は複数の仮想マシンホストのことである。或いは、仮想マシンの配置要件を満たす仮想マシンホストとは、例えば、仮想マシンの“ネットワーク要件”が“あり”以外の場合において、当該仮想マシンの属性が仮想マシンホストの属性の部分集合である一つ又は複数の仮想マシンホストのことである。
　例えば、配置要件に“セキュリティ要件”の属性情報が含まれる場合、“セキュリティ要件”の属性情報が“高い”を示す仮想マシンホストは、“ネットワーク要件”が“なし”、かつ、“セキュリティ要件”が“標準”を示す仮想マシンの配置要件を満たす。
　通信端末配置部１０５は、クラスタ毎に、そのクラスタに分類された全ての仮想マシンに対する配置候補群を特定する。そして、通信端末配置部１０５は、そのクラスタに分類された全ての仮想マシンを、配置候補群の仮想マシンホストのそれぞれに均等に振り分ける。或いは、通信端末配置部１０５は、そのクラスタに分類された全ての仮想マシンを、配置候補群の仮想マシンホストの各々に配置される仮想マシンの数が最小となるように、配置候補群の仮想マシンホストのそれぞれに振り分ける。
　本実施の形態では、図１０に示すフローチャートと、以下の数式（１）のアルゴリズムと、を用いることにより、クラスタ毎に、そのクラスタに分類された全ての仮想マシンのそれぞれについて配置先の仮想マシンホストを選択する。なお、数式（１）において、ｍは仮想マシンを表し、Ｃは仮想マシンｍの属するクラスタを表し、Ｈは仮想マシンホストを表している。
Figure JPOXMLDOC01-appb-M000001
　　　　　　　　　　　　　　　　　　　　　　　　　　　　・・・（１）
　また、“ネットワーク要件”が“あり”を示す仮想マシンは、通信先属性に記載された端末ＩＰを持つ仮想マシンが最も多く配置されている仮想マシンホストに配置される。なお、通信先属性に記載された端末ＩＰが最も多く配置されている仮想マシンホストが複数存在する場合には、その中でランダムに選択された仮想マシンホストに配置される。
　その後、配置情報記憶部１０６において、各仮想マシンにおける、端末識別子、それに対応する端末ＩＰ、及び、通信端末配置部１０５によって算出された、当該仮想マシンが配置される仮想マシンホスト識別子を、纏めて格納する（Ｓ００７）。
　図７には、図５に示す仮想マシンホスト（識別子Ｈ１，Ｈ２）が設けられている場合の、配置情報記憶部１０６に格納される情報の一例が示されている。図７の例では、識別子Ｈ１の仮想マシンホストには、端末識別子“Ｍ０００１”、“Ｍ０００３”、“Ｍ００３１”の仮想マシンが配置されている。また、識別子Ｈ２の仮想マシンホストには、端末識別子“Ｍ０００２”、“Ｍ０００４”、“Ｍ００２１”、“Ｍ００２２”の仮想マシンが配置されている。
　以上のように、本実施の形態にかかる仮想マシン制御装置１００は、仮想マシンの要求する配置要件及びネットワーク要件を考慮しつつ、属性情報の類似する複数の仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置する。換言すると、仮想マシン制御装置１００は、仮想マシンの要求する配置要件及びネットワーク要件を考慮しつつ、属性情報の類似する複数の仮想マシンをできるだけ互いに異なる仮想マシンホストに配置する。それにより、仮想マシン制御装置１００は、クラウド環境下において、インシデント調査に必要な属性情報の類似する仮想マシン間の通信ログを、複数の仮想マシンホスト外部に設置された通信履歴記録装置によって容易に収集することができる。つまり、仮想マシン制御装置１００は、セキュリティ性能を十分に向上させることができる。
　なお、関連技術では、クラウド環境下において、各仮想マシンが、計算資源効率化の観点から、空きストレージ容量に最も余裕のある仮想マシンホストに配置されている。つまり、関連技術では、クラウド環境下において、サイバー攻撃を受けた際のインシデント調査のために通信ログを収集することについては考慮されていない。それに対し、本実施の形態にかかる仮想マシン制御装置１００は、各仮想マシンの属性情報の類似度を計算して、類似する属性情報を持つ複数の仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置している。それにより、仮想マシン制御装置１００は、クラウド環境下において、インシデント調査に必要な属性情報の類似する仮想マシン間の通信ログを、複数の仮想マシンホスト外部に設置された通信履歴記録装置を用いて容易に収集することができる。つまり、仮想マシン制御装置１００は、セキュリティ性能を十分に向上させることができる。
　上記実施の形態における各構成は、ハードウェア又はソフトウェア、もしくはその両方によって構成され、１つのハードウェア又はソフトウェアから構成してもよいし、複数のハードウェア又はソフトウェアから構成してもよい。実施の形態における各機能（各処理）を、ＣＰＵ（Ｃｅｎｔｒａｌ　Ｐｒｏｃｅｓｓｉｎｇ　Ｕｎｉｔ）やメモリ等を有するコンピュータにより実現してもよい。例えば、記憶装置（記憶媒体）に実施の形態における方法（処理）を行うためのプログラムを格納し、各機能を、記憶装置に格納されたプログラムをＣＰＵで実行することにより実現してもよい。
　このようなプログラムは、様々なタイプの非一時的なコンピュータ可読媒体（ｎｏｎ－ｔｒａｎｓｉｔｏｒｙ　ｃｏｍｐｕｔｅｒ　ｒｅａｄａｂｌｅ　ｍｅｄｉｕｍ）を用いて格納され、コンピュータに供給することができる。非一時的なコンピュータ可読媒体は、様々なタイプの実体のある記録媒体（ｔａｎｇｉｂｌｅ　ｓｔｏｒａｇｅ　ｍｅｄｉｕｍ）を含む。非一時的なコンピュータ可読媒体は、例えば、磁気記録媒体、光磁気記録媒体、ＣＤ－ＲＯＭ（Ｒｅａｄ　Ｏｎｌｙ　Ｍｅｍｏｒｙ）、ＣＤ－Ｒ、ＣＤ－Ｒ／Ｗ、半導体メモリを含む。磁気記録媒体は、例えば、フレキシブルディスク、磁気テープ、ハードディスクドライブなどである。光磁気記録媒体は、例えば光磁気ディスクなどである。半導体メモリは、例えば、マスクＲＯＭ、ＰＲＯＭ（Ｐｒｏｇｒａｍｍａｂｌｅ　ＲＯＭ）、ＥＰＲＯＭ（Ｅｒａｓａｂｌｅ　ＰＲＯＭ）、フラッシュＲＯＭ、ＲＡＭ（Ｒａｎｄｏｍ　Ａｃｃｅｓｓ　Ｍｅｍｏｒｙ）を含む。また、プログラムは、様々なタイプの一時的なコンピュータ可読媒体（ｔｒａｎｓｉｔｏｒｙ　ｃｏｍｐｕｔｅｒ　ｒｅａｄａｂｌｅ　ｍｅｄｉｕｍ）によってコンピュータに供給されてもよい。一時的なコンピュータ可読媒体の例は、電気信号、光信号、及び電磁波を含む。一時的なコンピュータ可読媒体は、電線及び光ファイバ等の有線通信路、又は無線通信路を介して、プログラムをコンピュータに供給できる。
　以上、図面を参照して、本開示の実施の形態について詳しく説明してきたが、具体的な構成は上述のものに限られることはなく、本開示の要旨を逸脱しない範囲内において様々な設計変更等が可能である。
　１　仮想マシン制御システム
　２　ネットワーク
　４１～４５　テーブル
　１００　仮想マシン制御装置
　１０１　通信端末情報受信部
　１０２　ホスト要件記憶部
　１０３　データ変換部
　１０４　クラスタ計算部
　１０５　通信端末配置部
　１０６　配置情報記憶部
　１１０　類似度判定部
　２００　仮想マシンホスト
　３００　通信履歴記録装置

Claims (10)

  1. 　複数の仮想マシンの属性情報を受信する通信端末情報受信手段と、
    　前記通信端末情報受信手段によって受信された前記複数の仮想マシンの属性情報の類似度を判定する類似度判定手段と、
    　前記類似度判定手段により属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置する端末配置手段と、
    　を備えた、仮想マシン制御装置。
  2. 　前記類似度判定手段は、
    　前記通信端末情報受信手段によって受信された前記複数の仮想マシンの属性情報を、距離を表すデータ構造の特徴ベクトルに変換するデータ変換手段と、
    　前記データ変換手段から出力された複数の前記特徴ベクトルに基づいて、前記複数の仮想マシンを一又は複数のクラスタに分類するクラスタ計算手段と、
    　を有し、
    　前記端末配置手段は、前記クラスタ毎に、そのクラスタに含まれる前記仮想マシンを前記仮想マシンホストに配置するとともに、そのクラスタに２つ以上の前記仮想マシンが含まれる場合、当該クラスタに含まれる前記２つ以上の仮想マシンを少なくとも２つ以上の前記仮想マシンホストに分散して配置するように構成されている、
    　請求項１に記載の仮想マシン制御装置。
  3. 　前記端末配置手段は、同一の前記クラスタに２つ以上の前記仮想マシンが含まれる場合、当該クラスタに含まれる前記２つ以上の仮想マシンを、前記２つ以上の仮想マシンホストの各々に配置される仮想マシンの数が最小となるように、当該２つ以上の仮想マシンホストに分散して配置するように構成されている、
    　請求項２に記載の仮想マシン制御装置。
  4. 　前記端末配置手段は、同一の前記クラスタに２つ以上の前記仮想マシンが含まれる場合、当該クラスタに含まれる前記２つ以上の仮想マシンを、前記２つ以上の仮想マシンホストのそれぞれに均等に振り分けて配置するように構成されている、
    　請求項２に記載の仮想マシン制御装置。
  5. 　前記端末配置手段は、同一の前記クラスタに２つ以上の前記仮想マシンが含まれる場合、さらに、当該クラスタに含まれる前記２つ以上の仮想マシンのそれぞれについて、仮想マシンホストに要求する配置要件及びネットワーク要件を満たすように、前記２つ以上の仮想マシンホストに分散して配置するように構成されている、
    　請求項２～４の何れか一項に記載の仮想マシン制御装置。
  6. 　複数の仮想マシンホストと、
    　前記複数の仮想マシンホストとネットワークを介して接続された請求項１～５の何れか一項に記載の仮想マシン制御装置と、
    　前記複数の仮想マシンホストのそれぞれに設けられた仮想マシン間の通信ログを収集する通信履歴記録装置と、
    　を備えた、仮想マシン制御システム。
  7. 　複数の仮想マシンの属性情報を受信するステップと、
    　受信した前記複数の仮想マシンの属性情報の類似度を判定するステップと、
    　属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置するステップと、
    　を備えた、仮想マシン制御方法。
  8. 　受信した前記複数の仮想マシンの属性情報の類似度を判定するステップは、
    　受信した前記複数の仮想マシンの属性情報を、距離を表すデータ構造の特徴ベクトルに変換するステップと、
    　複数の前記特徴ベクトルに基づいて、前記複数の仮想マシンを一又は複数のクラスタに分類するステップと、
    　を有し、
    　属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置するステップでは、
    　前記クラスタ毎に、そのクラスタに含まれる前記仮想マシンを前記仮想マシンホストに配置するとともに、そのクラスタに２つ以上の前記仮想マシンが含まれる場合、当該クラスタに含まれる前記２つ以上の仮想マシンを少なくとも２つ以上の前記仮想マシンホストに分散して配置する、
    　請求項７に記載の仮想マシン制御方法。
  9. 　複数の仮想マシンの属性情報を受信する処理と、
    　受信した前記複数の仮想マシンの属性情報の類似度を判定する処理と、
    　属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置する処理と、
    　をコンピュータに実行させるプログラムが格納された非一時的なコンピュータ可読媒体。
  10. 　受信した前記複数の仮想マシンの属性情報の類似度を判定する処理は、
    　受信した前記複数の仮想マシンの属性情報を、距離を表すデータ構造の特徴ベクトルに変換する処理と、
    　複数の前記特徴ベクトルに基づいて、前記複数の仮想マシンを一又は複数のクラスタに分類する処理と、
    　を有し、
    　属性情報が類似していると判定された複数の前記仮想マシンを少なくとも２つ以上の仮想マシンホストに分散して配置する処理では、
    　前記クラスタ毎に、そのクラスタに含まれる前記仮想マシンを前記仮想マシンホストに配置するとともに、そのクラスタに２つ以上の前記仮想マシンが含まれる場合、当該クラスタに含まれる前記２つ以上の仮想マシンを少なくとも２つ以上の前記仮想マシンホストに分散して配置する、
    　請求項９に記載のプログラムが格納された非一時的なコンピュータ可読媒体。
PCT/JP2019/020820 2019-05-27 2019-05-27 仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体 WO2020240642A1 (ja)

Priority Applications (2)

Application Number Priority Date Filing Date Title
JP2021521575A JP7310885B2 (ja) 2019-05-27 2019-05-27 仮想マシン制御システム、仮想マシン制御方法、及び、制御プログラム
PCT/JP2019/020820 WO2020240642A1 (ja) 2019-05-27 2019-05-27 仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体

Applications Claiming Priority (1)

Application Number Priority Date Filing Date Title
PCT/JP2019/020820 WO2020240642A1 (ja) 2019-05-27 2019-05-27 仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体

Publications (1)

Publication Number Publication Date
WO2020240642A1 true WO2020240642A1 (ja) 2020-12-03

Family

ID=73553639

Family Applications (1)

Application Number Title Priority Date Filing Date
PCT/JP2019/020820 WO2020240642A1 (ja) 2019-05-27 2019-05-27 仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体

Country Status (2)

Country Link
JP (1) JP7310885B2 (ja)
WO (1) WO2020240642A1 (ja)

Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012144647A1 (ja) * 2011-04-20 2012-10-26 日本電気株式会社 仮想マシン管理装置、仮想マシン管理方法、及び、プログラム
WO2014142217A1 (ja) * 2013-03-15 2014-09-18 日本電気株式会社 情報処理システム、及びアプリケーションの移転方法
JP2015162109A (ja) * 2014-02-27 2015-09-07 日本電信電話株式会社 タスク割り当てサーバ、タスク割り当て方法およびプログラム

Family Cites Families (1)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
US20160105801A1 (en) 2014-10-09 2016-04-14 Microsoft Corporation Geo-based analysis for detecting abnormal logins

Patent Citations (3)

* Cited by examiner, † Cited by third party
Publication number Priority date Publication date Assignee Title
WO2012144647A1 (ja) * 2011-04-20 2012-10-26 日本電気株式会社 仮想マシン管理装置、仮想マシン管理方法、及び、プログラム
WO2014142217A1 (ja) * 2013-03-15 2014-09-18 日本電気株式会社 情報処理システム、及びアプリケーションの移転方法
JP2015162109A (ja) * 2014-02-27 2015-09-07 日本電信電話株式会社 タスク割り当てサーバ、タスク割り当て方法およびプログラム

Also Published As

Publication number Publication date
JPWO2020240642A1 (ja) 2020-12-03
JP7310885B2 (ja) 2023-07-19

Similar Documents

Publication Publication Date Title
US11025674B2 (en) Cybersecurity profiling and rating using active and passive external reconnaissance
US20220407885A1 (en) Systems and methods for providing cybersecurity analysis based on operational techniques and information technologies
US11601475B2 (en) Rating organization cybersecurity using active and passive external reconnaissance
US20220014560A1 (en) Correlating network event anomalies using active and passive external reconnaissance to identify attack information
Feutrill et al. The effect of common vulnerability scoring system metrics on vulnerability exploit delay
Kim et al. Design of network threat detection and classification based on machine learning on cloud computing
CN115668865A (zh) 网络异常检测
CN102664786A (zh) 虚拟交换机截取器
US20210092160A1 (en) Data set creation with crowd-based reinforcement
US20220014561A1 (en) System and methods for automated internet-scale web application vulnerability scanning and enhanced security profiling
US20210011830A1 (en) Predictive storage management system
US9965327B2 (en) Dynamically scalable data collection and analysis for target device
US20220060510A1 (en) System and method for aggregating and securing managed detection and response connection interfaces between multiple networked sources
EP2972962B1 (en) Inferring application inventory
US11424993B1 (en) Artificial intelligence system for network traffic flow based detection of service usage policy violations
US20210136121A1 (en) System and method for creation and implementation of data processing workflows using a distributed computational graph
US11297105B2 (en) Dynamically determining a trust level of an end-to-end link
Singh Study on challenges, opportunities and predictions in cloud computing
US20210258349A1 (en) System and method for data extraction, processing, and management across multiple communication platforms
WO2020240642A1 (ja) 仮想マシン制御装置、仮想マシン制御システム、仮想マシン制御方法、及び、プログラムが格納された非一時的なコンピュータ可読媒体
JP6070338B2 (ja) 多階層システムに含まれる処理システムの分類装置及び多階層システムに含まれる処理システムの分類プログラム並びに多階層システムに含まれる処理システムの分類方法
US11435937B2 (en) Monitoring for service processors
WO2024105843A1 (ja) 集約装置、集約方法、及びプログラム
Abusnaina et al. Insights into attacks’ progression: Prediction of spatio-temporal behavior of DDoS attacks
WO2021154460A1 (en) Cybersecurity profiling and rating using active and passive external reconnaissance

Legal Events

Date Code Title Description
121 Ep: the epo has been informed by wipo that ep was designated in this application

Ref document number: 19930722

Country of ref document: EP

Kind code of ref document: A1

ENP Entry into the national phase

Ref document number: 2021521575

Country of ref document: JP

Kind code of ref document: A

NENP Non-entry into the national phase

Ref country code: DE

122 Ep: pct application non-entry in european phase

Ref document number: 19930722

Country of ref document: EP

Kind code of ref document: A1